Op goedkeuring gebaseerde fouten blijven DeFi-exploits aanjagen terwijl de verliezen in 2026 wereldwijd oplopen tot meer dan $750 miljoen.
Nieuwe beveiligingsfalen blijven druk uitoefenen op gedecentraliseerde financiële platforms in 2026. De toenemende aanvalsfrequentie heeft protocoleams ertoe aangezet audits aan te scherpen en contractmachtigingen agressiever te herzien. Ekubo Protocol werd het nieuwste doelwit nadat aanvallers een fout in zijn EVM-infrastructuur met betrekking tot token-goedkeuringsverwerking exploiteerden. Het incident voegt zich bij een groeiende lijst van exploits die dit jaar al honderden miljoenen hebben weggesluisd uit DeFi-platforms.
Blockaid identificeert toegangscontrolezwakte achter Ekubo-aanval
Ekubo Protocol verloor ongeveer $1,4 miljoen aan wrapped bitcoin nadat aanvallers een toegangscontrolekwetsbaarheid in zijn op EVM gebaseerde swap-routercontracten exploiteerden. Blockchain-beveiligingsbedrijf Blockaid zei dat de exploit gericht was op een kwetsbaar betalingscallbackmechanisme in Ekubo’s v2 EVM-extensiecontracten.
Root Cause:
The Ekubo extension implements its IPayer[.]pay callback (selector 0x599d0714, gated to msg.sender == EkuboCore) by doing token.transferFrom(payer, Core, amount) where payer, token, and amount are forwarded straight from the lock payload- i.e. controlled by whoever…
— Blockaid (@blockaid_) May 5, 2026
Ekubo opereert als een geconcentreerde liquiditeits-AMM, voor het eerst gelanceerd op Starknet en later uitgebreid naar Ethereum en Arbitrum. Het platform staat bekend om zijn singleton-architectuur en modulair extensieontwerp.
Volgens Blockaid manipuleerden aanvallers de payload-gegevens, inclusief de betaler-, token- en bedragparameters. Contracten faalden naar verluidt om te verifiëren of de betaler de transactie had goedgekeurd voordat deze werd uitgevoerd. Die zwakte stelde aanvallers in staat wallets leeg te halen die eerder token-goedkeuringen hadden verleend aan de getroffen routercontracten.
Beveiligingsonderzoekers zeiden dat aanvallers de diefstal uitvoerden via bijna 85 snelle transacties. On-chain monitoringplatforms, waaronder Cyvers, volgden de gestolen fondsen nadat ongeveer 17 WBTC uit een primair slachtofferwallet waren verwijderd. Activa werden later omgewisseld naar WETH en DAI.
DeFi-verliezen overschrijden $750M na recente exploit
Ekubo waarschuwde gebruikers kort na het ontdekken van de inbreuk. Teamleden bevestigden dat de exploit alleen EVM-swaproutercontracten trof, terwijl liquiditeitsverschaffers onaangetast bleven. Ontwikkelaars verklaarden ook dat de belangrijkste Starknet-implementatie van het protocol normaal bleef functioneren.
Starknet is not affected by the Ekubo router incident.
The issue happened on EVM, where users often leave unlimited token approvals behind.
On Starknet, native Account Abstraction enables a better UX: apps can bundle authorization and execution in the same transaction, so users… https://t.co/ZLMn2RTgdm
— StarkWare 🥷 (@StarkWareLtd) May 6, 2026
Gebruikers werden aangespoord om openstaande token-goedkeuringen onmiddellijk in te trekken via revoke.cash om verdere blootstelling te verminderen. Ekubo merkte ook op dat de getroffen EVM-contracten onveranderlijk zijn qua ontwerp, waardoor herimplementatie de enige beschikbare oplossing is voor het gecompromitteerde routersysteem.
De aanval weerspiegelt een breder patroon dat dit jaar in gedecentraliseerde financiën wordt gezien. Op goedkeuring gebaseerde kwetsbaarheden en machtigingsfouten zijn herhaaldelijk naar voren gekomen in modulaire DeFi-protocollen, vooral die welke cross-chain- of op extensie gebaseerde infrastructuur beheren.
DeFi-gerelateerde verliezen hadden al $750 miljoen overschreden vóór de Ekubo-exploit, volgens eerdere berichtgeving van The Block. Alleen al in april werd ongeveer $620 miljoen aan gestolen fondsen geregistreerd verspreid over bijna 30 afzonderlijke incidenten.
Grote inbreuken waarbij Drift Protocol en Kelp DAO betrokken waren, waren verantwoordelijk voor het grootste deel van de verliezen van de maand. Kleinere aanvallen op Wasabi Protocol en Volo Protocol droegen ook bij aan de druk op een toch al moeilijk jaar voor DeFi-beveiliging.
Geef een reactie